Co je to databáze MDB? Každý správce sítě s určitými zkušenostmi s tvorbou webových stránek ví, že kombinace "IIS+ASP+ACCESS" je nejpopulárnějším způsobem tvorby webu, a většina malých a středních internetových webů tento "balíček" používá, ale bezpečnostní problémy, které s ním souvisejí, jsou stále zřetelnější. Jednou z nejzranitelnějších oblastí pro útočníky je nelegální stažení databáze MDB.
Pokud vetřelec hádá nebo naskenuje cestu k databázi mdb, můžete ji snadno stáhnout na lokální pevný disk pomocí nástroje ke stažení a pak ji zkombinovat s hrubou silou nebo nějakými super crackovými nástroji, abyste snadno viděli obsah databázových souborů uvnitř, a soukromí podniku a hesla zaměstnanců už nejsou v bezpečí. Nemůžeme posílit bezpečnost databáze MDB? I když máme jen málo dat, musíme se postarat o sqlserver neboOrákulumOpravdu? Odpověď zní ne, v tomto článku vám autor prozradí jedinečné tajemství vytvoření bezpečného MDB databázového souboru.
1. Příčiny krize:
Obecně je rozšíření databáze webových programů a fór postavených na ASP ve výchozím nastavení mdb, což je velmi nebezpečné. Soubor si můžete snadno stáhnout tak, že uhodnete umístění databázového souboru a zadáte jeho URL do adresního řádku prohlížeče. I když do databáze přidáme heslo a heslo správce uvnitř je také zašifrováno MD5, je snadné ho prolomit po stažení lokálně. Koneckonců, MD5 už může být prolomeno násilím. Proto pokud je databáze stažena, není vůbec bezpečná.
2. Běžně používané metody léčby:
V současnosti existuje několik běžně používaných metod, jak zabránit nelegálnímu stahování databázových souborů.
(1) Upravit název databáze a umístit jej pod hluboký adresář. Například změna názvu databáze na Sj6gf5.mdb a její umístění do víceúrovňového adresáře ztěžuje útočníkovi jednoduché odhadnutí polohy databáze. Nevýhodou je, že pokud je soubor s kódem ASP uniknut, je k ničemu, ať je skrytý jakkoliv hluboko.
(2) Změnit rozšíření databáze na ASP nebo ASA a další názvy, které neovlivňují dotaz na data. Někdy však lze adresu stáhnout i po změně na ASP nebo ASA, například po změně na ASP zadáme síťovou adresu přímo do adresního řádku IE, i když není žádná výzva ke stažení, ale v prohlížeči se objeví velké množství zkreslených znaků. Pokud použijete profesionální nástroj ke stahování, jako je FlashGet nebo Video Conveyor, můžete si databázový soubor stáhnout přímo. Tato metoda však má jistou slepotu, protože vetřelec nemůže zajistit, že soubor je nutně souborem s MDB příponou pro úpravu databáze, ale ti, kdo mají dostatek energie a času, mohou stáhnout všechny soubory a změnit příponu na odhad. Úroveň ochrany této metody bude výrazně snížena.
3. Vedlejší dveře autora:
Během autorského testu jsem narazil na problém, že se budou stahovat i soubory ASP a ASA, takže jsem po výzkumu našel následující metodu.
Pokud při pojmenování databázového souboru pojmenujete "#admin.asa", můžete se úplně vyhnout jeho stahování pomocí IE, ale pokud vandal uhodne cestu databáze, stále ho můžete úspěšně stáhnout pomocí FlashGetu a pak přejmenovat stažený soubor na "admin.mdb", pak bude tajemství webu odhaleno. Musíme tedy najít způsob, jak udělat, aby FlashGet nebyl stahovatelný, ale jak ho udělat nestahovatelným? Pravděpodobně kvůli předchozím zranitelnostem v Unicode weby nezpracovávají odkazy obsahující unicode kód. Takže můžeme použít unicode kódování (například můžeme použít "%3C" místo "<" atd.) k dosažení našich cílů. Když však FlashGet zpracovává odkazy obsahující unicode kód, "chytře" provádí odpovídající zpracování unicode kódování, například automatickým převodem unicode kódovací formy "%29" na (", takže pošlete odkaz na stažení http://127.0.0.1/xweb/data/%29xadminsxx.mdb do FlashGetu, ale on ho interpretuje jako http: // 127.0.0.1/xweb/data/(xadminsxx.mdb, podívejte se, kde máme URL nahoře a přejmenované místo níže, FlashGet interpretuje "%29xadminsxx.mdb" jako "(xadminsxx.mdb", a když klikneme na tlačítko "OK" pro stažení, hledá soubor s názvem "(xadminsxx.mdb". To znamená, že FlashGet nás naučí ztratit, a samozřejmě ho nemůže najít, takže prompt selže.
Pokud však stažení selže, útočník rozhodně bude chtít zasáhnoutjinýMetoda útoku. Z toho můžeme použít další preventivní metodu, protože FlashGet hledá soubor nazvaný "(xadminsxx.mdb", můžeme pro něj připravit jeden takový a vytvoříme simulovanou databázi nazvanou "(xadminsxx.mdb", takže když vetřelec chce soubor stáhnout, stáhne zpět databázi, ale databázový soubor je falešný nebo prázdný, když se tajně raduje, Ve skutečnosti je konečné vítězství naše.
Shrnutí:
Tímto zavedením metody ochrany databázových souborů MDB můžeme objasnit dvě bezpečnostní opatření: jedním je matoucí metoda, tedy změna toho, co chce hacker získat, například změnou názvu souboru nebo přípony MDB souboru; Druhou je alternativní metoda, tedy skrýt to, co hacker chce získat, a nahradit to něčím, co nemá žádný praktický význam, takže i když hacker úspěšně vnikne, získá falešnou informaci a oni si budou myslet, že průnik byl úspěšný, a zastaví další útok.
|
|
Zveřejněno 26.11.2014 15:46:39
|
|
|
Zveřejněno 22.10.2017 14:15:09